Über Jahre enthielten Risikoberichte ein Kapitel zu „Emerging Risks“. Es stand ganz am Ende – nach Kredit-, Markt- und Liquiditätsrisiko – und galt eher als Kür denn als Pflicht. Diese Zeiten sind vorbei.
Über Jahre enthielten Risikoberichte ein Kapitel zu „Emerging Risks“. Es stand ganz am Ende – nach Kredit-, Markt- und Liquiditätsrisiko – und galt eher als Kür denn als Pflicht. Diese Zeiten sind vorbei.
Der Global Risks Report 2026 des World Economic Forum, der auf den Einschätzungen von mehr als 1.300 Entscheidungsträgern weltweit beruht, zeigt das deutlich. Im Zwei-Jahres-Horizont ist geoökonomische Konfrontation das größte globale Risiko; Cyber-Unsicherheit folgt auf Platz sechs. Im Zehn-Jahres-Horizont führen Extremwetterereignisse, Biodiversitätsverlust und kritische Veränderungen der Erdsysteme das Ranking an. „Adverse Outcomes of AI Technologies“ liegen kurzfristig nur auf Platz 30, klettern im Zehn-Jahres-Horizont aber auf Platz 5 – der größte Sprung im gesamten Ranking. 57 % der Befragten rechnen mit einem turbulenten oder stürmischen Jahrzehnt.
Drei Risikocluster stechen heraus: geopolitische/geoökonomische Risiken, Cyber-/KI-Risiken und Klimarisiken. Die Aufsicht behandelt alle drei inzwischen als Kernanforderung – und nicht mehr als optionales Add-on.
1. Geopolitik: Vom Schock zum Dauerzustand
Ein Blick auf die vergangenen sechs Jahre:
Jedes dieser Ereignisse hätte früher als „Once-in-a-decade“-Schock gegolten. In Summe haben sie ein anhaltendes Klima der Unsicherheit geschaffen – und die Daten bestätigen das.
Der World Uncertainty Index (Ahir/Bloom/Furceri) erreichte im dritten Quartal 2025 ein Allzeithoch – mehr als das Fünffache seines Durchschnitts 2000–2019 und fast das Doppelte des COVID-Peaks. Im zweiten Quartal 2026 lag er noch immer beim nahezu Vierfachen dieses Durchschnitts. Noch stärker stieg die handelspolitische Unsicherheit (Trade Policy Uncertainty): Im zweiten Quartal 2025 erreichte sie fast das 50-Fache ihres langfristigen Durchschnitts und liegt nach wie vor weit über dem historischen Niveau.
Implikationen für das Risikomanagement: Szenarien statt Punktprognosen
Bei derart hoher Unsicherheit reicht eine einzelne Baseline-Prognose mit angehängtem Stressszenario nicht mehr aus. Das zentrale Instrument ist die Szenarioanalyse: mehrere kohärente, plausible Zukunftsbilder, jeweils hinterlegt mit einem vorab abgestimmten Maßnahmenplan (Playbook).
Die Aufsicht fordert genau das bereits ein. In ihren Aufsichtsprioritäten 2026–2028 stellt die EZB die Resilienz gegenüber geopolitischen Risiken ganz oben auf die Agenda. 2026 führte sie mit 110 bedeutenden Instituten einen geopolitischen Reverse Stress Test durch. Die Ergebnisse waren aufschlussreich: Die Risikoeinschätzungen waren zu wenig granular, Szenario-Narrative und modellierte finanzielle Auswirkungen passten nicht zusammen, und die Annahmen zu Mitigating Actions – etwa Asset-Verkäufe unter Stressbedingungen – waren zu optimistisch. Das Kernproblem: Die Szenarien waren nicht mit den Zahlen verknüpft.
2. Cyber und KI: Das Risiko, das längst eingetreten ist
Beim Cyberrisiko stellt sich die Frage nach dem „Ob“ nicht mehr. Die Schäden sind gut dokumentiert:
- Laut IWF hat sich die Zahl der Cybervorfälle seit Beginn der Pandemie mehr als verdoppelt. Auf den Finanzsektor entfällt knapp ein Fünftel aller Vorfälle; die direkten Verluste seit 2004 belaufen sich auf rund USD 12 Milliarden, Extremverlustszenarien erreichen mehrere Milliarden pro Institut.
- Der Angriff auf Jaguar Land Rover 2025 kostete die britische Volkswirtschaft schätzungsweise GBP 1,9 Milliarden und traf mehr als 5.000 Organisationen entlang der Lieferkette (Computer Weekly). Es ist das wirtschaftlich folgenschwerste Cyberereignis der britischen Geschichte.
- Im Allianz Risk Barometer 2026 führen Cybervorfälle zum fünften Mal in Folge die globale Rangliste der Geschäftsrisiken an – mit einem Rekordanteil von 42 % der Nennungen. Künstliche Intelligenz sprang binnen eines Jahres von Platz 10 auf Platz 2.
KI wirkt in zwei Richtungen. Sie macht Angriffe billiger, schneller und überzeugender (Deepfakes, automatisiertes Phishing, KI-gestützte Malware). Gleichzeitig erzeugen die KI-Modelle der Banken selbst neue Modell-, Conduct- und Konzentrationsrisiken.
Der regulatorische Rahmen steht. DORA gilt seit Januar 2025 und macht IKT- und Third-Party-Risiken zur Vorstandsverantwortung. Nach dem EU AI Act gelten KI-Systeme zur Kreditwürdigkeitsprüfung als Hochrisiko-Systeme. Die entsprechenden Pflichten wurden zwar auf Dezember 2027 verschoben – aufgeschoben ist aber nicht aufgehoben. Cybersicherheit ist längst keine reine IT-Angelegenheit mehr, sondern ein operationelles Risiko mit Potenzial für systemische Verluste. Entsprechend muss sie nach derselben Szenariologik quantifiziert werden wie jedes andere Risiko.
3. Klima: Ein realer ökonomischer Kostenfaktor, kein Reputationsthema
Dieser Sommer hat das Klimarisiko greifbar gemacht. Schätzungen zufolge kosten Hitze, Dürre und Waldbrände die Volkswirtschaften der EU im Jahr 2026 rund EUR 180 Milliarden – etwa ein Prozent des BIP und damit nahezu ein ganzes Jahreswachstum (Euronews/Triodos). Bis August waren in der EU mehr als 490.000 Hektar verbrannt, rund das Zweieinhalbfache des 20-Jahres-Durchschnitts. Weltweit verursachten Naturkatastrophen 2025 Schäden von USD 224 Milliarden, davon USD 108 Milliarden versichert (Munich Re).
Für Banken geht es um weit mehr als einen heißen Sommer. Klimarisiko ist ein langfristiger Risikotreiber für bestehende Risikoarten:
Die regulatorische Richtung ist klar. CRD VI (Art. 87a) verpflichtet Institute zu spezifischen Plänen für den Umgang mit ESG-Risiken, einschließlich Transitionsrisiken. Die EBA-Leitlinien zum Management von ESG-Risiken gelten für große Institute seit Januar 2026. Die EBA-Leitlinien zur Umweltszenarioanalyse sind ab 2027 anzuwenden und umfassen sowohl kurzfristige Stresstests als auch langfristige Resilienzanalysen. Auch die EZB setzt ihre Erwartungen inzwischen durch: Gegen Banken, die ihre Klimarisiken nicht fristgerecht angemessen bewertet hatten – darunter ABANCA und Crédit Agricole – verhängte sie periodische Zwangsgelder.
Fazit: Novel Risks sind die neue Normalität
Diese drei Risiken sind nicht mehr hypothetisch. Sie prägen das Umfeld, in dem Banken und Unternehmen bereits heute agieren. Wir müssen uns mit ihnen auseinandersetzen – nicht, weil die Aufsicht es verlangt, sondern weil sie bereits in der GuV durchschlagen.
Hinzu kommt: Sie treten nicht isoliert auf. Eine geopolitische Eskalation zieht staatlich unterstützte Cyberangriffe nach sich. Eine Klimakatastrophe trifft auf ein Energiesystem, das durch geopolitische Spannungen ohnehin unter Druck steht. Ein Zollschock treibt die Ausfallraten genau in jenen Branchen nach oben, die mitten in der Klimatransformation stecken. Im Reverse Stress Test der EZB kombinierten die Szenarien der Banken bereits militärische Konflikte, Energie, Sanktionen und Cyberrisiken.
Diese Komplexität lässt sich nicht in Silos managen. Ein Klimateam, ein Cyberteam und eine „Geopolitik-Taskforce“, die jeweils getrennt berichten, übersehen genau jene Wechselwirkungen, auf die es ankommt. Was es stattdessen braucht:
Aufgabe des Risikomanagements war es immer schon, Unsicherheit beherrschbar zu machen. Bei diesen drei Risiken ist das schwieriger geworden – und umso wichtiger ist es, diese Aufgabe gut zu erfüllen.
